5.1情報セキュリティ運用

情報セキュリティを「設計する」ことと「日々回す」ことは別の営みです。サービスマネジメントの観点では、脆弱性が公表されるたびに全システムへ一斉にパッチを当てられるわけではなく、SLA目標（可用性・応答時間）を守りながら、リスクの高い脆弱性から順に、変更管理の手順に乗せて是正していく判断が求められます。この節では、パッチ/脆弱性管理の優先度づけ、ログ収集と監視、複数ログを突き合わせるSIEM、そして検知した事象をインシデント管理・問題管理へつなぐ運用面の管理策を、運用者の判断として学びます。深い暗号技術ではなく、あくまで「サービスを止めずに安全を保つ運用」に焦点を当てます。

5.1.1パッチ管理と脆弱性管理

• 脆弱性管理＝自組織のシステムに存在する脆弱性を継続的に洗い出し、その深刻度（例：CVSS スコア）と、実際に悪用されうるか・露出しているか（例：インターネット公開の有無、代替の緩和策の有無）を突き合わせてリスクを評価し、対応の優先順位を決める運用プロセス。「公表された脆弱性を機械的に全て即時パッチ」ではなく、リスクベースで優先度を判断するのが要点。
• パッチ管理＝評価した脆弱性に対し、修正パッチの適用を変更管理の手順（テスト・承認・切り戻し計画）に乗せて計画的に実施する運用。無停止が難しいパッチはSLAの計画停止枠（メンテナンスウィンドウ）に合わせ、緊急度の高い脆弱性は緊急変更（ECAB）として扱うなど、可用性目標とリスクのバランスを取って適用時期を決める。

5.1.2ログ収集・監視とSIEM

• ログ収集＝サーバ・ネットワーク機器・認証基盤・アプリケーション等が出力するログを、改ざんされない形で一元的に集める運用。ログは時刻同期（NTP）で時系列を揃え、保存期間をSLA/法令要件に合わせて定めることが、後の追跡・監査・原因究明の前提になる。
• SIEM（Security Information and Event Management）＝複数の機器・システムから集めたログを一元的に取り込み、相関分析（複数ログを突き合わせて単独では見えない攻撃の兆候を検出）し、しきい値やルールに合致した事象をアラートとして通知する仕組み。単一機器のログだけでは気づけない「複数段階にわたる攻撃の連鎖」を検出できる点が価値であり、検知した事象はインシデント管理へ引き渡す。